Очистка от вирусов и восстановление сайта на Битрикс

Восстановление сайтов на Битрикс после взлома без резервных копий

Недавно интернет столкнулся с новой масштабной волной заражений, целью которой стали сайты на CMS 1С-Битрикс. Пострадало огромное количество ресурсов. В этой статье на реальном примере разберем, как восстановить три сайта на одной виртуальной машине, которые не имели резервных копий. Данный кейс наглядно демонстрирует важность профилактики и служит пошаговой инструкцией по ликвидации последствий сложного вирусного заражения.

Симптомы заражения и анализ ситуации

На виртуальной машине (VM Bitrix) располагались три сайта:

• Два основных коммерческих проекта с актуальными лицензиями и обновлениями.

• Один заброшенный сайт на отдельном домене, который долгое время не обновлялся.

Первые симптомы, которые проявились:

• На сайтах перестали открываться разделы новостей и блогов.

• Со временем большинство страниц стали отображаться пустыми (открывался только шаблон или доступ был полностью закрыт).

• Стабильно работала только главная страница и частично — административная панель.

Как проявляет себя вирус: признаки для диагностики

Вредоносное ПО действовало по отработанной схеме:

1. Перезапись ключевых файлов: главный файл .htaccess и index.php были изменены. В начало index.php был добавлен обфусцированный (зашифрованный) вредоносный код.

2. Постоянное восстановление: любые попытки исправить эти файлы были тщетны — они перезаписывались обратно.

3. Блокировка доступа: во всех директориях зараженного сайта создавались файлы .htaccess, запрещающие доступ к папкам через браузер.

4. Создание вредоносных файлов: в структуре сайта появлялись файлы со случайными именами, содержащие опасный код.

5. Внедрение в код: в некоторые существующие файлы вирус встраивал свои фрагменты.

Пошаговая инструкция по очистке и восстановлению сайтов

Вот алгоритм действий, который позволил успешно реанимировать проекты.

Шаг 1: Восстановление доступа к файловой структуре

Первым делом необходимо заблокировать внешний доступ к сайтам (например, через настройки веб-сервера или файл index.html с сообщением о техработах) и удалить тысячи созданных вирусом файлов .htaccess, блокирующих просмотр директорий.

Для этого в терминале, находясь в корне сайта, выполняется команда:

find . -type f -name ".htaccess" -exec rm {} \;

Перед удалением рекомендуется проверить список найденных файлов командой с echo.

Шаг 2: Поиск и удаление вредоносного агента

После этого стоит попытаться войти в административную панель Битрикс. Если доступ есть, нужно перейти в раздел «Система» > «Агенты» и найти подозрительную задачу с зашифрованным кодом (обычно очень длинную, в несколько строк). Именно этот агент отвечает за постоянное восстановление вирусных файлов.

Его необходимо немедленно удалить. Если интерфейс не работает, удаление можно провести напрямую через API Битрикс, зная ID агента.

Шаг 3: Остановка фонового процесса и финальное исправление файлов

После удаления агента проблема может сохраняться, так как вредоносный скрипт продолжает работать в фоне. В этом случае помогает полная перезагрузка виртуального сервера. После перезагрузки:

• Замените основной файл .htaccess на заведомо чистый.

• Удалите вредоносный код из начала файла index.php.

Шаг 4: Глубокая проверка и очистка файловой системы

Для полной чистки необходимо проверить все файлы проекта. Один из инструментов — бесплатный модуль из Маркетплейса Битрикс.

После его установки и запуска сканирования модуль покажет все подозрительные файлы. На этом этапе требуется экспертиза: необходимо просмотреть каждый файл, удалить созданные вирусом и очистить от внедренного кода легитимные. 

Шаг 5: Финальная проверка и открытие доступа

Перед тем как открыть сайт для пользователей, необходимо несколько раз перепроверить его работу, убедиться, что все страницы открываются, а функционал работает корректно. Только после этого можно снимать техническую блокировку.

Выводы и рекомендации по безопасности

На приведение трех сайтов в порядок было потрачено более 8 часов. Ущерб мог быть катастрофическим, если бы вирус оказался более разрушительным — проект был бы утерян безвозвратно.

Чтобы избежать подобных ситуаций, необходимо:

1. Настроить регулярное резервное копирование. Это главное правило, которое позволяет восстановить проект за считанные минуты, а не часы.

2. Своевременно обновлять все компоненты. Обновлять нужно не только ядро CMS, но и все установленные модули и шаблоны, даже на тех сайтах, которые кажутся неважными.

3. Установить и настроить «Проактивную защиту». Встроенный модуль Битрикс эффективно отражает большинство известных атак.

4. Следить за актуальностью лицензий. Это дает доступ к важным обновлениям безопасности.

Данная инструкция — это руководство к действию в критической ситуации, но лучшая стратегия — это всегда профилактика и грамотная эксплуатация веб-ресурсов.